Pencegahan "confused deputy" lintas layanan - Amazon CloudWatch

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Pencegahan "confused deputy" lintas layanan

Deputi yang bingung adalah entitas (layanan atau akun) yang dipaksa oleh entitas yang berbeda untuk melakukan suatu tindakan. Jenis peniruan identitas ini dapat terjadi lintas akun dan lintas layanan.

Untuk mencegah kebingungan deputi, AWS sediakan alat yang membantu Anda melindungi data Anda untuk semua layanan menggunakan prinsip layanan yang telah diberikan akses ke sumber daya di Anda. Akun AWS Bagian ini berfokus pada pencegahan wakil kebingungan lintas layanan khusus untuk Internet Monitor; Namun, Anda dapat mempelajari lebih lanjut tentang topik ini di bagian masalah wakil yang membingungkan dari Panduan IAM Pengguna.

Untuk membatasi izin yang IAM diberikan kepada Internet Monitor untuk mengakses sumber daya Anda, sebaiknya gunakan kunci konteks kondisi global aws:SourceArndan aws:SourceAccountdalam kebijakan sumber daya Anda.

Jika Anda menggunakan kedua kunci konteks kondisi global ini, dan aws:SourceArn nilainya berisi Akun AWS ID, aws:SourceAccount nilai dan Akun AWS in aws:SourceArn harus menggunakan Akun AWS ID yang sama saat digunakan dalam pernyataan kebijakan yang sama.

Untuk Internet Monitor, Anda menentukan ID akun Anda untuk aws:SourceAccount dan monitor ARN Anda untuk. aws:SourceArn Untuk akses lintas layanan, Anda juga menggunakan monitor aws:SourceArn ARN untuk.

catatan

Cara paling efektif untuk melindungi dari masalah wakil yang membingungkan adalah dengan menggunakan kunci konteks kondisi aws:SourceArn global dengan ARN penuh sumber daya. Jika Anda tidak mengetahui ARN lengkap, atau jika Anda menentukan beberapa sumber daya, gunakan kunci kondisi konteks aws:SourceArn global dengan wildcard (*) untuk bagian ARN yang tidak diketahui. Misalnya, arn:aws:internetmonitor:us-east-1:111122223333:*.

Berikut ini adalah contoh kebijakan peran asumsi yang menunjukkan bagaimana Anda dapat mencegah masalah wakil yang membingungkan. 

{
  "Version": "2012-10-17",
  "Statement": {
    "Sid": "ConfusedDeputyPreventionExamplePolicy",
    "Effect": "Allow",
    "Principal": {
      "Service": "internetmonitor.amazonaws.com"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
      "ArnLike": {
        "aws:SourceArn": "arn:aws:internetmonitor:us-east-1:111122223333:monitor/confused-deputy-monitor"
      },
      "StringEquals": {
        "aws:SourceAccount": "111122223333"
      }
    }
  }
}